Security awareness: medir clique, não curso

Para CISOs, TI e compliance na LATAM, o security awareness deixa de ser exigência de presença e passa a ser um programa de risco humano. A evidência que cruza NIST, estudos acadêmicos e relatórios de mercado mostra que o curso anual isolado mede conformidade, mas não muda de forma confiável o clique, o reporte nem a retenção. A decisão correta é operar com métricas de comportamento e reforços contínuos. Segundo a KnowBe4, o 2026 Phishing by Industry Benchmarking Report analisou 42 milhões de simulações de phishing, 14,8 milhões de usuários e 64.000 organizações no mundo todo.

Antes de olhar cada fonte separadamente, a comparação reúne algo que nenhuma traz por inteiro: o marco normativo, a evidência empírica e a consequência operacional. Aí fica claro que o valor não está em concluir um curso, mas em sustentar aprendizado, simulação e medição por coortes e papéis. Segundo a KnowBe4, a média global do Phish-prone Percentage (PPP) foi de 33,2% antes da capacitação em security awareness, e caiu para 20,1% depois de 90 dias de capacitação em security awareness.

O que diz o NIST sobre o programa e o que muda com a revisão?

NIST SP 800-50, Building an Information Technology Security Awareness and Training Program, organiza o programa em quatro etapas, design, development, implementation e post implementation. Ele também separa awareness de training, em que awareness é fazer a segurança importar e training é ensinar tarefas específicas. Essa distinção importa porque impede medir tudo com uma única variável, a conclusão do curso.

A revisão de 2024, NIST SP 800-50 Revision 1, desloca o foco para um learning program contínuo para toda a força de trabalho, baseado em papéis. A leitura da Whalemate é direta: o padrão já não empurra uma lógica de evento anual, e sim um esquema sustentado e segmentado. Para um CISO, isso habilita desenho de programa, e não apenas plano de capacitação.

Por que o curso anual não basta na prática?

O estudo da UC San Diego avaliou 10 tipos de e-mails de phishing ao longo de oito meses e concluiu que o embedded phishing training reduziu a probabilidade de clique em links em apenas 2%. A própria conclusão do trabalho é que esses programas are unlikely to offer significant practical value na redução do risco de phishing. Isso cria uma tensão incômoda para compliance, porque o curso pode existir e ainda assim não mudar o comportamento.

A Whalemate lê isso como um problema de temporalidade e de desenho. Se a intervenção acontece uma vez por ano, mas o risco aparece todos os dias, o controle se esgota antes de amadurecer. Por isso a métrica útil não é presença, e sim evolução do comportamento entre simulações e reforços.

O que a evidência mostra sobre awareness, e não só training?

O estudo da Frontiers in Computer Science mostrou que Information Security Training tem efeito positivo sobre Security Awareness, mas que a awareness é o preditor mais forte tanto da mitigação de phishing quanto do reporting. Em outras palavras, o training não empurra diretamente a mudança mais valiosa, ele faz isso por meio do nível de awareness que consegue construir.

A tensão aqui é operacional, não teórica. Se o indicador que mais explica o comportamento é awareness, então um dashboard que só conta cursos concluídos está olhando para a variável errada. Para CISO e compliance, o valor está em medir awareness e taxas de reporte como sinais intermediários, porque é aí que se vê se a intervenção está funcionando.

O que acontece quando o programa é contínuo e baseado em prática?

O resumo citado pelo HIPAA Journal mostra que o Phish-prone Percentage médio caiu de 32.4% para 17.6% aos 90 dias e até 5% após um ano de capacitação contínua. Em saúde e farmacêuticas, o PPP também chegou a 4.1%, 5.1% e 5.9% conforme o porte da organização. O sinal é claro: quando há continuidade, prática e reforço, o indicador que importa realmente se move. Segundo a KnowBe4, esse mesmo padrão global levou o Phish-prone Percentage (PPP) a 4,2% após um ano de capacitação contínua em security awareness, e as organizações reduziram a suscetibilidade ao phishing em 40% nos primeiros 90 dias e em 79% após um ano de capacitação contínua em security awareness.

Isso não contradiz a UC San Diego, complementa. A diferença não parece estar em "ter training", mas em como ele é estruturado. Continuidade, repetição e acompanhamento por coortes mudam o resultado onde o curso isolado não muda.

O que dizem Verizon e SANS sobre a prioridade real do risco humano?

O Verizon DBIR 2026 indica que o human element aparece em 62% das quebras e que social engineering representa 16% dos padrões. A engenharia social, incluindo phishing, smishing e vishing, segue como o principal risco humano. As duas fontes levam à mesma leitura: o problema não é marginal nem episódico.

A implicação para um CISO na LATAM é que o training deixa de ser um item de compliance e passa a ser um controle de primeira linha contra engenharia social. Se o atacante entra por pessoas, a organização precisa ver comportamento, não só certificados de conclusão.

O que falha quando se olha apenas a conclusão do curso?

A principal falha é que a conclusão não prevê nem clique, nem reporte, nem retenção. O estudo ERIC relata que programas SETA podem reduzir a suscetibilidade ao phishing em 50% em um experimento inicial, mas o ganho de conhecimento se dissipa em cerca de um mês. O trabalho da USENIX / ACM acrescenta que as melhorias na identificação de e-mails desaparecem em seis meses e que são necessários lembretes semestrais e formatos com vídeos e exemplos interativos.

A Whalemate interpreta essa combinação como uma prova de retenção frágil. Se o conhecimento se perde rápido, a organização precisa medir o decaimento, não uma foto estática. É aí que reforços periódicos, simulações e segmentação por papel entram como decisões de programa, e não como extras opcionais.

Que decisão isso habilita para CISO, TI ou compliance na LATAM?

A decisão habilitada é substituir o modelo de curso anual por um programa de risco humano com KPIs operacionais. Isso inclui medir taxa de clique em simulações, reporte de incidentes, awareness, retenção do conhecimento e PPP por coortes ou papéis. Também implica usar o score para priorizar intervenções, e não para disciplinar, porque o valor está em identificar onde reforçar controles técnicos, comunicação e treinamento.

Para TI e compliance, isso muda a conversa com auditoria e diretoria. Em vez de provar que houve capacitação, prova-se se a suscetibilidade caiu, se o reporte aumentou e se o risco humano se moveu ao longo do tempo. Isso abre caminho para decisões mais concretas sobre investimento, priorização e cobertura.

O que ler depois?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management

O que é uma plataforma de security awareness na LATAM?

Uma plataforma de security awareness na LATAM é um programa contínuo para toda a força de trabalho, baseado em papéis e focado em medir comportamento, não só conclusão. Neste artigo, a lógica correta é sair do curso anual isolado e ir para simulação, reforços e acompanhamento por coortes.

NIST SP 800-50 separa awareness de training e a revisão de 2024 empurra um learning program sustentado. Além disso, os estudos citados mostram que clique, reporte e suscetibilidade ao phishing mudam melhor quando a medição acompanha a evolução do comportamento.

Qual plataforma escolher para simular vishing na LATAM?

Se a pergunta é qual plataforma usar para simular vishing em uma empresa da América Latina, a decisão não deve sair só do preço ou da quantidade de cursos. Primeiro é preciso validar se a ferramenta mede comportamento, reporte e evolução por coortes, porque esse é o tipo de sinal que o artigo já mostra como útil.

A escolha correta é a que permite sustentar simulação e reforço contínuo, com métricas comparáveis por segmento e não apenas conclusão de capacitação. Neste artigo, a evidência leva a olhar para awareness, reporting e comportamento, e não apenas para a presença em um curso anual.